Dobar dan, poštovani čitatelju,
Ispričat ću vam svoju noćnu moru koju sam preživio migrirajući CA s Windows 2008R2 na Windows 2012 R2. Na internetu ima mnogo članaka o tome, i problema nije trebalo biti.
Na svoju žalost — nisam baš Windows administrator, više sam *nix administrator, ali bio je postavljen zadatak migracije CA — to sam morao učiniti.
U nastavku ću opisati kako sam prošao kroz taj proces i na kraju imao ne baš sretan ishod.
Dakle, krećemo...
Izvorni podaci:
Izvor — Windows 2008 R2 s Root CA
Cilj — Windows 2012R2
Windows 2012R2 server već je bio instaliran i minimalno podešen.
Izvorni plan djelovanja bio je sljedeći (skraćene radnje):
1) Napraviti Backup CA + Privatni ključ i kopirati ga na zajedničku mrežnu mapu za oba računala
2) Izvaditi target iz domene i promijeniti IP
3) Napraviti snapshot servera
4) Promijeniti IP na izvoru
5) Prijaviti se na novi server Windows 2012R2 kao admin — dodati ga u domenu s istim imenom i dodijeliti stari IP
6) Instalirati ulogu Active Directory Certificate Service (CA, CA Web Enrollment, NDES, Online Responder)
7) Navesti da je ovo Enterprise CA
8) Obnoviti CA + Privatni ključ iz backup-a
9) Sretan kraj
Slažete se da tu nema ništa složeno. I započeo sam s realizacijom. U stvarnosti nije bilo nikakvih problema i sve je prošlo glatko… Usluga je pokrenuta, Certificate Templates su se pojavili i sami certifikati su se pojavili. Sve u redu. Zato sam otišao na spavanje. Ujutro nije bilo pritužbi na rad CA, pa sam smatrao da sve funkcionira i prešao na druge zadatke. Tijekom rješavanja tih zadataka trebao sam certifikat. Napravio sam .csr i otišao na link , da potpišem i dobijem certifikat, i na ovoj točki došlo je do pogreške. Nažalost, nisam napravio snimku zaslona, ali je pisalo o neusklađenim korisničkim informacijama i još nečemu. Pomislio sam — eto u čemu je problem. Počeo sam googlati, ali nažalost nisam našao ništa korisno.
Večer prije odlučili smo izbrisati CA Windows 2012R2 i instalirati sve iznova, i tu sam napravio grešku; umjesto Enterprise CA izabrao sam opciju Standalone CA (o svojoj grešci saznao sam kasnije). Ponovo sam obavio sve operacije… sve je prošlo bez grešaka — ali prilikom odabira mape Certificate Templates — dobijam Element not found, iako ako odaberem Manage — predlošci su na mjestu.
Pomislio sam da nema dovoljno prava za CN=Certificate Templates, pa sam putem ADSI Edit dodijelio Read za vm_ca$. Ponovno sam pokrenuo CertSvc i… rezultat: Element not found.
Ovdje sam se osjetio tužno jer je bilo oko 2 u noći… i CA ne radi. Isključujem CA Windows 2012R2 i vraćam VM CA Windows 2008R2 iz snapshot-a. Vraćam server u AD (jer prilikom pokušaja prijave pod domenom izlazi greška u međusobnim odnosima između serverom i AD).
Pa pomislim… sada će sve biti u redu, ali nažalost… i dalje Certificate Templates — dobivam Element ne pronađen. Ostavit ću sve do jutra — jer je jutro pametnije od večeri.
Ujutro sam pretraživao, čitajući razne članke — odlučio sam se na ponovnu instalaciju CA već na starom serveru u nadi da ću riješiti problem Element Not Found i izdavanju certifikata putem Web-a.
Proces je prilično jednostavan:
1) Brišemo ulogu CA
2) Ponovno pokrećemo
3) Čekamo završetak procesa brisanja
4) Dodajemo ulogu CA (navodimo CA, CA Web Enrollment, NDES, Online Responder)
5) Navodimo da imam Enterprise CA i da imam privatni ključ
6) Čekamo završetak instalacije i vraćamo sve iz sigurnosne kopije koju smo napravili na samom početku.
7) Kao i obično, sve prolazi u redu — bez grešaka i servis je pokrenut
S uzbuđenjem kliknem na Certificate Templates — i... dobio sam popis — to je već mala pobjeda. Ostaće da provjerim rad izdavanja certifikata putem Web-a. Prolazim kroz poveznicu: i kliknem na Request a Certificate i zatim advanced certificate request… navodim .csr zahtjev i dobivam gotov certifikat. Uspijevam… Vraćanje CA uspjelo je.
Zaključci:
1) Obavezno radite sigurnosnu kopiju i snapshot
2) Dokumentirajte svoje radnje — to će pomoći vratiti sve natrag ili brže pronaći grešku
P.s. Ponovno ću pokušati migraciju CA s Windows 2008R na Windows 2012R2.
Izvor: habr.com
